Les applications web et serveurs d'applications hébergés sous Linux peuvent exposer une télémétrie de post-exploitation précieuse lorsque la journalisation d'audit est disponible. Un RCE réussi ne produit pas nécessairement un fichier de malware unique ni une alerte d'exploit évidente. Il peut plutôt apparaître comme un contexte d'application web qui exécute soudainement des shells, des utilitaires de téléchargement, des interpréteurs ou des commandes de découverte du système.

La source définit une recherche comportementale qui cherche précisément ce type d'activité.

Ce que recherche la détection

La requête recherche dans la télémétrie d'audit Linux des commandes couramment associées à l'accès shell, à la reconnaissance, à la livraison de charge utile et à l'exécution de suivi. Elles comprennent :

• sh, bash, dash et zsh ;

• curl et wget ;

• nc, ncat et socat ;

• python, python3 et perl ;

• chmod et chown ;

• whoami, id et uname.

La recherche devient plus ciblée lorsque ces commandes s’exécutent depuis des répertoires web ou applicatifs tels que /var/www, /srv/www, Tomcat, SAP, webapps, public_html, les modules Node, Next.js ou les répertoires Langflow.

La source associe cette couverture au RCE affectant SAP NetWeaver, React et Next.js, Langflow, ActiveMQ, cPanel, WordPress, Joomla, les applications Oracle, les équipements et d'autres services Java, Python, PHP ou Node.

Requête de détection

rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*) and data.audit.cwd:(/var/www* or /srv/www* or /opt/tomcat* or /opt/sap* or /usr/sap* or /opt/*/webapps* or */public_html* or */node_modules* or */next* or */langflow*)

Une version plus large issue de la source supprime la condition sur le répertoire de travail :

rule.groups:*audit* and data.audit.command:(*sh* or *bash* or *dash* or *zsh* or *curl* or *wget* or *nc* or *ncat* or *socat* or *python* or *python3* or *perl* or *chmod* or *chown* or *whoami* or *id* or *uname*)

La recherche plus large a produit 3,746 événements au cours des 30 derniers jours.

Pourquoi le contexte du répertoire de travail est utile

Une commande telle que curl ou python3 est courante sur de nombreux systèmes Linux. L’intérêt de la première requête vient de la combinaison de la commande avec le contexte d’exécution.

Par exemple, un shell lancé depuis un répertoire lié à une application web est plus intéressant que le même shell lancé depuis le répertoire personnel d’un administrateur connu. De même, whoami, id ou uname exécutés depuis un répertoire d’application web peuvent être de précieux indicateurs de reconnaissance lorsqu’ils apparaissent de façon inattendue.

Le répertoire de travail permet donc de réduire l’écart entre une recherche générique de commandes et une détection de post-exploitation centrée sur les applications.

Approche d'investigation

Lorsqu’une correspondance est trouvée, les analystes doivent examiner :

• le chemin de l’exécutable ;

• répertoire de travail actuel ;

• l’utilisateur effectif et l’utilisateur d’audit d’origine ;

• processus parent ;

• la ligne de commande complète ;

• les connexions réseau suivant l’exécution ;

• les fichiers créés ou modifiés ;

• les journaux applicatifs autour du même horodatage.

Une séquence dans laquelle un contexte applicatif exécute whoami, puis curl, puis un shell, est nettement plus intéressante qu’une commande isolée.

Réglage et élaboration de la ligne de base

Le nombre de résultats de la source suggère que la liste étendue de commandes peut générer un bruit important. Le réglage doit donc commencer par séparer l’exécution propre à l’application de l’administration système normale.

Les dimensions utiles pour la liste d’autorisation peuvent inclure :

• les comptes d’automatisation connus ;

• les scripts approuvés ;

• les fenêtres de maintenance ;

• les répertoires d’application attendus ;

• les outils de déploiement connus ;

• les tâches connues de gestion de paquets.

L’objectif n’est pas de supprimer la visibilité sur les lignes de commande, mais de préserver les combinaisons inhabituelles de commande, de répertoire, d’utilisateur et de contexte applicatif.

Valeur pratique

Cette détection est utile car elle ne dépend pas de l’identification d’une charge utile d’exploit spécifique. Elle recherche un comportement pouvant survenir après de nombreuses vulnérabilités d’applications web différentes.

Pour les serveurs Linux surveillés avec Wazuh et la télémétrie d’audit, cette approche peut aider à identifier la transition de l’application vulnérable vers l’exécution au niveau du système d’exploitation et offrir une couche pratique de chasse aux menaces sur plusieurs technologies.